关于依赖项的最佳实践

Question

保存 package.json 依赖项的最佳做法是什么？

例如，我看到很多依赖项都不是固定的，例如：

  "tslint": "~5.11.0"

我希望有固定的依赖关系，以便将来新开发人员加入团队时不会改变。

我对 package-lock.json 和 shrinkwrap 知之甚少，但我不确定这方面的“最佳实践”。 在这种情况下是一个 Angular 应用程序，但它可以是一切。例如，将 package-lock.json 保存在 repo 上会导致过去的一些问题（我知道！这是推送它的最佳实践！）

有什么想法吗？

Answer 1

简答：插入符号 (^) 并提交您的 package-lock.json 可能是您最好的方法。这可以确保开发人员始终获得相同的依赖项，并且最不令人惊讶。

---

为什么是package-lock.json？

npm 特别推荐你提交package-lock.json。

强烈建议您将生成的包锁定提交到源代码控制：这将允许您团队中的其他任何人、您的部署、您的 CI/持续集成以及在您的包源中运行 npm install 的任何其他人获得确切的您正在开发的相同依赖关系树。

（来自npm documentation）

您之前提到将 package-lock.json 推送到您的存储库会导致一些问题。我猜这是由于this issue 每次有人安装任何东西时都会忽略并重写包锁。根据this answer，这不是正确的行为并已在 npm@5.4.2 中修复。

您应该不做的是省略package-lock.json，而只需在package.json 中指定确切的版本。如果您这样做，您的顶级依赖项将看起来不错且一致，但它们的依赖项不会锁定版本。这样一来，您遇到错误的可能性几乎相同，但会更难找到。

---

为什么不npm-shrinkwrap.json？

您还提到了收缩包装文件。收缩包装文件适用于

通过注册表上的发布过程部署的应用程序

（来自npm documentation）

你可能没有 npm publishing 你的 angular webapp，所以没有理由使用 npm-shrinkwrap.json。

---

为什么要使用插入符号范围？

我找不到任何说明插入符号 (^) 范围是最佳做法的文档，但我相信它们是。

npm 使插入符号范围成为默认选项，因此很明显他们认为这是最佳做法，尽管我找不到他们的任何文档来证明它的合理性。

使用默认值是最不令人惊讶的方法。如果我在package.json 中看到任何其他类型的版本，我会认为它被更改是有充分理由的，并且在不知道原因是什么的情况下会犹豫更新包，即使它确实需要更新。

如果您决定一次更新所有依赖项，插入符号范围将很好地为您服务。您的依赖项通常会被锁定，但删除您的package-lock.json 并重新运行npm install 将自动安装据称与您指定的版本向后兼容的最新版本（有关插入符号范围的详细信息，请参阅the npm docs）。

---

总之，使用插入符号范围和package-lock.json 是标准做法。这满足了您对固定依赖项的要求，并提供了一些其他好处，因此最好按照标准进行，除非您找到其他更改的理由。